Zero Trust: لماذا لم يعد وجودك داخل شبكة الشركة يعني أنك موثوق؟

Zero Trust: لماذا لم يعد وجودك داخل شبكة الشركة يعني أنك موثوق؟

قديمًا كان الأمن الرقمي يشبه حماية قلعة.

نبني جدارًا قويًا حول الشبكة، نضع بوابة محمية، ومن يتمكن من الدخول يصبح في منطقة يُفترض أنها أكثر أمانًا.

لكن ماذا لو دخل المهاجم أصلًا؟

ماذا لو سُرق حساب أحد الموظفين؟

وماذا لو كان الجهاز المتصل بالشبكة مصابًا ببرمجية خبيثة؟

هنا بدأت فكرة أمنية مختلفة تنتشر بقوة:

Zero Trust – انعدام الثقة.

وشعارها المبسط يمكن اختصاره في فكرة واحدة:

لا تثق تلقائيًا… تحقق باستمرار.

ما المقصود بـ Zero Trust؟

Zero Trust ليست برنامجًا واحدًا نثبته على الكمبيوتر، وليست جدار حماية جديدًا.

إنها منهجية أمنية لكيفية منح الوصول إلى الأنظمة والبيانات.

بدل أن يفترض النظام أن الشخص أو الجهاز موثوق فقط لأنه موجود داخل شبكة الشركة، يتم تقييم طلب الوصول وفق عوامل مختلفة.

مثل:

من المستخدم؟

ما الجهاز الذي يستخدمه؟

إلى أي مورد يريد الوصول؟

هل يحتاج فعلًا إلى هذا المورد؟

وهل توجد مؤشرات تجعل هذا الطلب أكثر خطورة؟

الفكرة الأساسية هي تقليل الثقة الضمنية قدر الإمكان.

تخيلي شركة كبيرة

لنفترض أن موظفة في قسم التصميم تحتاج إلى فتح مجلد يحتوي ملفات المشروع.

في النموذج التقليدي قد يكون وجودها داخل شبكة الشركة وتسجيل دخولها كافيًا للوصول إلى مجموعة واسعة من الموارد.

أما في بيئة Zero Trust، فالوصول يمكن أن يكون أكثر تحديدًا.

النظام يعرف هوية المستخدم، ويتحقق من الجهاز، ويطبق سياسة وصول، ثم يسمح فقط بما تحتاج إليه المهمة.

بمعنى آخر:

الدخول إلى المبنى لا يعني امتلاك مفتاح كل الغرف.

لماذا لم يعد الجدار الخارجي كافيًا؟

لأن طريقة العمل نفسها تغيرت.

الموظفون قد يعملون من المنزل.

والتطبيقات قد تكون موزعة بين مراكز بيانات وخدمات سحابية مختلفة.

والهواتف والأجهزة اللوحية تتصل بأنظمة الشركات.

كما أن الشركات تعتمد على خدمات خارجية وموردين وشركاء.

لذلك أصبح من الصعب التفكير في الشبكة باعتبارها مكانًا له «داخل آمن» و«خارج خطير» فقط.

الحدود أصبحت أكثر تعقيدًا.

وهنا أصبح التحقق من الهوية والسياق والصلاحيات أكثر أهمية.

أقل صلاحية ممكنة

من المبادئ المهمة المرتبطة بـZero Trust مفهوم:

Least Privilege – أقل صلاحية ممكنة.

إذا كان المستخدم يحتاج إلى ثلاثة ملفات لإنجاز عمله، فلا يوجد سبب لإعطائه صلاحية الوصول إلى آلاف الملفات الأخرى.

وإذا كان تطبيق معين يحتاج إلى قاعدة بيانات واحدة، فلا ينبغي بالضرورة أن يستطيع الوصول إلى بقية الأنظمة.

هذه الفكرة تقلل المساحة التي يمكن أن يتأثر بها النظام إذا تم اختراق حساب أو جهاز.

وماذا لو سُرقت كلمة المرور؟

هنا نفهم لماذا لا يعتمد Zero Trust على كلمة المرور وحدها.

يمكن استخدام وسائل تحقق إضافية مثل المصادقة متعددة العوامل MFA، إلى جانب سياسات تتحقق من الجهاز والسياق.

قد يمتلك شخص كلمة مرور صحيحة، لكن النظام يستطيع النظر إلى عوامل أخرى قبل منحه الوصول.

مثلًا، هل الجهاز معروف؟

هل يتوافق مع سياسات المؤسسة؟

هل الطلب غير معتاد مقارنة بالسلوك المتوقع؟

وجود كلمة المرور وحدها لا يجب أن يتحول تلقائيًا إلى مفتاح لكل شيء.

الجهاز نفسه يجب أن يثبت أنه موثوق

ليس المستخدم وحده هو المهم.

تخيلي موظفًا حقيقيًا يستخدم جهازًا لم يعد يحصل على تحديثات أمنية أو توجد عليه مشكلة معروفة.

في بعض بيئات Zero Trust يمكن أن تؤثر حالة الجهاز في قرار السماح بالوصول.

وهذا يجعل السؤال:

ليس فقط «من أنت؟»

بل أيضًا:

«من أي جهاز تحاول الدخول؟ وما حالة هذا الجهاز؟»

ماذا عن تقسيم الشبكة؟

من الأفكار المرتبطة بهذه الاستراتيجية تقليل قدرة المهاجم على التحرك بحرية إذا تمكن من اختراق جزء من النظام.

بدل امتلاك شبكة ضخمة يستطيع من دخل إليها الوصول إلى أجزاء كثيرة منها، يمكن تقسيم الوصول بين الأنظمة والموارد.

ويُشار إلى بعض هذه الأساليب بمفهوم Microsegmentation.

الهدف أن يكون لكل جزء حدود وسياسات واضحة.

فإذا حدث اختراق، يصبح الانتقال من نظام إلى آخر أكثر صعوبة.

هل Zero Trust يعني عدم الثقة بالموظفين؟

لا.

الاسم قد يعطي هذا الانطباع، لكن المقصود ليس التعامل مع البشر باعتبارهم متهمين.

الفكرة تتعلق بكيفية تصميم النظام الأمني.

فحتى الموظف الموثوق يمكن أن يُسرق حسابه، وقد يتعرض جهازه للاختراق دون أن يعلم.

لذلك لا تبني المؤسسة أمنها على افتراض أن كل طلب قادم من حساب معروف آمن تلقائيًا.

إنها تتحقق من الطلب نفسه.

أين يدخل الذكاء الاصطناعي؟

الأنظمة الحديثة تنتج كميات ضخمة من بيانات الدخول والأجهزة والاتصالات.

يمكن لأدوات التحليل والذكاء الاصطناعي المساعدة في اكتشاف أنماط غير معتادة وسط هذه البيانات.

مثل حساب يبدأ فجأة في طلب موارد لم يستخدمها من قبل، أو نشاط يحدث بطريقة مختلفة عن النمط المعتاد.

لكن الذكاء الاصطناعي لا يحل المشكلة وحده.

Zero Trust يعتمد أساسًا على هوية قوية، وسياسات وصول واضحة، وتقليل الصلاحيات، ومراقبة مستمرة.

هل يمكن تطبيق Zero Trust بضغطة زر؟

لا.

وهذه من أهم النقاط.

لا يوجد زر اسمه:

«فعّل Zero Trust».

لأنها استراتيجية تتطلب معرفة المستخدمين والأجهزة والبيانات والتطبيقات، ثم تحديد من يحتاج إلى ماذا وكيف يتم التحقق منه.

وفي مؤسسة كبيرة قد يكون الانتقال تدريجيًا.

يبدأ من الأنظمة الأكثر حساسية ثم يتوسع مع الوقت.

وهل يوفر حماية كاملة؟

أيضًا لا.

لا توجد بنية أمنية تضمن منع جميع الهجمات.

يمكن أن تحدث أخطاء في السياسات أو الإعدادات، وقد تظهر ثغرات جديدة، كما يمكن للمهاجمين البحث عن طرق مختلفة للتجاوز.

لكن قيمة Zero Trust تكمن في تقليل الاعتماد على فكرة خطيرة جدًا:

«لقد دخل إلى الشبكة، إذن يمكننا الوثوق به.»

من حماية المكان إلى حماية كل طلب

وهذا هو التحول الحقيقي.

الأمن القديم كان يركز بدرجة كبيرة على حماية المحيط.

أما Zero Trust فيركز أكثر على:

الهوية + الجهاز + المورد + الصلاحية + السياق.

كل محاولة للوصول تصبح قرارًا أمنيًا بحد ذاتها.

وهذا يناسب عالمًا لم تعد فيه بيانات الشركة موجودة في مبنى واحد، ولم يعد الموظفون يعملون جميعًا من شبكة واحدة.

الخلاصة

Zero Trust لا تعني عدم الثقة بالبشر، بل عدم منح الثقة الرقمية تلقائيًا.

بدل أن يصبح المستخدم موثوقًا لمجرد دخوله إلى الشبكة، يتم التحقق من هويته وجهازه وحاجته الفعلية إلى المورد، مع منحه أقل قدر من الصلاحيات اللازمة.

والفكرة التي تلخص التقنية كلها هي:

لا تجعل الدخول مفتاحًا لكل الأبواب… اجعل لكل باب عملية تحقق خاصة به.